Impianti fotovoltaici hackerati: indagine del divd
Con l’ascesa vertiginosa dell’energia solare si è spinti ad evidenziare i grandi vantaggi del Fotovoltaico. Risparmio e sostenibilità sono i primi due vantaggi che vengono in mente. Occorre, però, concentrarsi sull’affidabilità dei sistemi fotovoltaici in termini di sicurezza. In questo focus dedicato agli Impianti Fotovoltaici hackerati, affrontiamo un tema caldo che non può assolutamente essere trascurato.
La richiesta di energia green non è mai stata tanto elevata come ora: è destinata a crescere con la transizione energetica e l’obiettivo della decarbonizzazione globale. La transizione energetica è legata alla digitalizzazione, ai data center, alla diffusione di dispositivi IoT, all’Intelligenza Artificiale.
Governi, fornitori, operatori di rete, aziende commerciali devono porre maggiore attenzione alla sicurezza informatica allo scopo di proteggere il futuro approvvigionamento elettrico. A livello informatico, quanto sono sicuri i sistemi fotovoltaici connessi a case, infrastrutture di rete, aziende? Sono a rischio hacker? A quali minacce cyber sono soggetti gli impianti fotovoltaici? C’è da chiederselo seriamente visto che, nell’era dell’Internet of Things nessun dispositivo collegato alla rete può essere considerato al sicuro da attacchi informatici. Anche i software di controllo degli impianti fotovoltaici possono presentare vulnerabilità facilmente sfruttabili dai cybercriminali. Il loro obiettivo è accedere alla rete per sottrarre illecitamente dati sensibili, bloccare o sabotare dispositivi come nel caso di infrastrutture critiche.
A sottolineare questa realtà è l’indagine del Divd (Dutch institute of vulnerability disclosure) effettuata in Olanda di recente. Cosa è emerso da questo studio? Cosa è stato scoperto e come difendersi dagli attacchi informatici?
Impianti fotovoltaici hackerati: indagine del Divd, cosa è emerso
Lo studio olandese del Divd ha individuato vulnerabilità negli inverter di un’azienda statunitense con sede a Fremont (California), la Enphase che, in certe condizioni, potrebbero rappresentare un concreto rischio per la sicurezza tanto del sistema fotovoltaico quando della rete a cui è collegato. In termini di vulnerabilità e rischi, gli impianti fotovoltaici subiscono la stessa sorte di qualsiasi sistema IoT.
I pannelli fotovoltaici Enphase dispongono di un proprio microinverter e sono gestibili tramite account personale. I dispositivi Enphase IQ Gateway permettono la comunicazione tra i microinverter dei pannelli solari sul tetto ed il software di tracciamento basato su cloud.
Avvalendosi dell’intervento di ethical hacker, il Divd ha condotto una serie di test per verificare il livello di cybersecurity degli impianti fotovoltaici di Enphase. Sfruttando con successo una backdoor non protetta, gli ethical hacker sono riusciti ad accedere ai sistemi informatici degli inverter ‘intelligenti’ Enphase. Da questi test sono emerse 6 vulnerabilità che un cybercriminale potrebbe sfruttare con la stessa procedura per infettare i pannelli solari con malware. Partendo da un account, un bug nel software ha permesso loro di ottenere i diritti di amministratore su account di altri utenti.
L’azienda ha provveduto a rilasciare patch per 5 di queste vulnerabilità allo scopo di mettere in sicurezza i dispositivi Enphase IQ Gateway. Patch che rendono impossibile lo sfruttamento del CVE-2024.21878.
I ricercatori del Divd hanno sottolineato che le vulnerabilità rilevate sono sfruttabili soltanto se i sistemi coinvolti vengono connessi a reti non affidabili in termini di sicurezza informatica. Ad esempio, non risultano affidabili le reti aziendali o domestiche sprovviste di sistemi di protezione idonei per difendersi da minacce provenienti dalla rete.
Al contrario, una rete sicura e isolata dall’esterno non consentirebbe agli hacker di sfruttare le vulnerabilità dei componenti che resterebbero, pertanto, latenti.
Tre scenari di cyberattacco agli impianti fotovoltaici
Secondo un report dell’agenzia olandese Rijksdienst voor Ondernemend Nederland rilasciato il 12 agosto a cura della società Secura, gli scenari di cyberattacco agli impianti fotovoltaici sarebbero tre:
- Attacco informatico mediante portale cloud: cybercriminali ransomware potrebbero impossessarsi di vari account di grandi installatori allo scopo di estorcere denaro ai gestori di parchi solari;
- Cyberattacco mirato alla supply chain (catena di fornitura) da parte di un attore statale. In caso di particolari tensioni geopolitiche, un Paese potrebbe usare armi informatiche per attaccare infrastrutture critiche sequestrando attrezzature;
- Aggiornamento software online degli inverter ‘intelligenti’: permette ai cybercriminali di accedere agli inverter per danneggiarli o spegnerli. Decine di migliaia di inverter con password predefinita non modificata durante l’installazione potrebbero essere presi in consegna da una botnet.
Fotovoltaico & Cybersecurity: le raccomandazioni di SolarPower Europe
Le misure di mitigazione finalizzate a prevenire questi attacchi o ridurne la portata sono state suggerite da SolarPower Europe che, lo scorso luglio, ha rilasciato un position paper sulla Cybersecurity inerente il Fotovoltaico.
Tra i vari consigli riportati, il position paper denominato “A harmonised cybersecurity baseline for solar PV” suggerisce di:
- Rafforzare la sicurezza informatica a livello di prodotto secondo i requisiti di conformità del CRA (Cyber Resilience Act);
- Aumentare la visibilità del rischio sulle reti a bassa tensione nazionali ed europee;
- Implementare uno standard dedicato per le risorse energetiche distribuite;
- Migliorare i requisiti di governance nell’implementazione della Direttiva (UE) NIS2. Secondo SolarPower Europe gli audit previsti dalla normativa NIS 2 dovrebbero basarsi sul rischio seguendo gli standard ISO 27001 (standard internazionale per la gestione ottimale della sicurezza delle informazioni);
- Rendere obbligatorio un elenco di best practice di funzionamento sicuro per le grandi centrali elettriche;
- Introdurre un livello di monitoraggio autorizzato dall’UE per i comandi rilevanti con cui produttori e aggregatori coordinano centralmente i dispositivi di risorse energetiche distribuite come gli inverter;
- Gestire la sicurezza informatica dei propri dispositivi impostando password complesse e installando aggiornamenti di sicurezza.
Impianti fotovoltaici hackerati: una delle sfide più urgenti per il FV
Malware, ransomware e attacchi cyber mirati (come il sabotaggio di infrastrutture energetiche critiche) sono sempre più frequenti. Basti pensare che, nel 1° trimestre 2024, gli attacchi informatici al comparto energetico sono raddoppiati rispetto al 2023.
Il settore Fotovoltaico deve affrontare questa ennesima sfida: la minaccia cibernetica. Una sfida che è anche una delle più urgenti considerando che si tratta di un sistema energetico sempre più interconnesso, digitale e flessibile in cui è essenziale gestire una mole notevole e costantemente in crescita di impianti con monitoraggio da remoto, contatori intelligenti, inverter ‘intelligenti’, sistemi di accumulo, tecnologie di automazione, sistemi di gestione digitale, colonnine di ricarica elettrica, ecc.
Nell’ambito della rapida transizione energetica, è stato rilevato un preoccupante aumento della vulnerabilità dei sistemi fotovoltaici. Con l’integrazione delle reti intelligenti e dei dispositivi IoT, l’esposizione del comparto al rischio cyber aumenta, probabilmente a causa di una rapida innovazione tecnologica che spesso supera le misure di sicurezza.
In attesa di una regolamentazione UE
La sicurezza informatica dei componenti di impianti fotovoltaici cambia notevolmente da un produttore all’altro. Attualmente, i produttori determinano i livelli di sicurezza dei loro prodotti in modo del tutto autonomo perché non esiste tuttora una regolamentazione standard. E’ quantomai vitale per i Governi determinare una regolamentazione in tal senso stabilendo standard di qualità obbligatori per la sicurezza informatica nel settore Fotovoltaico e, più in generale, delle energie rinnovabili.
Il Cyber Resilience Act della Commissione Europea, da finalizzare entro la fine di quest’anno, dovrebbe imporre una lista più lunga di requisiti relativi alla cybersicurezza a partire dal 2027 nonché elevati standard di sicurezza informatica. La bozza – ricordiamolo – si riferisce a migliaia di prodotti IoT, tra cui gli inverter solari.
Dal canto loro, i singoli produttori dovrebbero configurare architetture di rete il più possibile sicure, ben segmentate per proteggere il più possibile i dispositivi da eventuali attacchi alle aree in cui sono conservati i dati critici e le opzioni di controllo con cui i cybercriminali potrebbero sabotare il sistema.
Per una sicurezza ottimale, non devono mancare un firewall ben configurato ed un sistema di monitoraggio delle minacce in tempo reale. Occorre anche individuare le soluzioni di cybersicurezza più adeguate alle singole esigenze rivolgendosi ad esperti nel campo della sicurezza IoT.
